搜索

[14750] 2019-10-28_基于开源蜜罐的实践与功能扩展

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-10-28_基于开源蜜罐的实践与功能扩展 基 于 开 源 蜜 罐 的 实 践 与 功 能 扩 展 糖 果 L U A   F r e e B u f   2 0 1 9 - 1 0 - 2 8 0 x 0 0   前 言 前 言 具 有 一 定 规 模 的 公 司 都 会 有 自 己 的 机 房 ， 当 网 络 规 模 和 硬 件 系 统 到 达 一 定 程 度 ， 就 需 要 跟 进 各 种 安 全 预 警 防 护 手 段 ， 而 蜜 罐 系 统 就 是 一 种 常 见 的 防 护 手 段 之 一 ， 蜜 罐 主 要 是 通 过 在 网 络 具 有 一 定 规 模 的 公 司 都 会 有 自 己 的 机 房 ， 当 网 络 规 模 和 硬 件 系 统 到 达 一 定 程 度 ， 就 需 要 跟 进 各 种 安 全 预 警 防 护 手 段 ， 而 蜜 罐 系 统 就 是 一 种 常 见 的 防 护 手 段 之 一 ， 蜜 罐 主 要 是 通 过 在 网 络 环 境 当 中 ， 用 虚 拟 各 种 真 实 服 务 的 守 护 进 程 ， 去 模 拟 各 种 常 见 的 应 用 服 务 ， 比 如 环 境 当 中 ， 用 虚 拟 各 种 真 实 服 务 的 守 护 进 程 ， 去 模 拟 各 种 常 见 的 应 用 服 务 ， 比 如 h t t p 、 、 m y s q l 、 、 F T P 服 务 等 。 服 务 等 。 一 般 情 况 下 ， 蜜 罐 系 统 是 模 拟 出 来 的 服 务 ， 不 具 备 提 供 真 实 服 务 的 能 力 ， 比 如 有 蜜 罐 监 听 的 f t p 端 口 2 1 ， 但 2 1 端 口 其 实 只 是 一 个 空 的 监 听 ， 不 能 提 供 F T P 服 务 ， 并 且 己 方 人 员 ， 知 道 蜜 罐 是 一 个 报 警 装 置 ， 不 会 去 刻 意 访 问 ， 只 有 不 明 身 份 的 攻 击 者 才 有 可 能 去 访 问 蜜 罐 进 行 漏 洞 尝 试 探 测 。 如 果 有 人 对 蜜 罐 进 行 了 大 量 的 针 对 性 操 作 ， 并 且 访 问 操 作 的 P a y l o a d 属 于 攻 击 数 据 ， 我 们 可 以 蜜 罐 的 报 警 日 志 ， 判 断 这 个 可 能 是 一 个 可 以 的 攻 击 行 为 ， 或 是 误 碰 蜜 罐 行 为 ， 虽 然 服 务 不 是 真 实 的 服 务 ， 但 攻 击 的 的 渗 透 P a y l o a d 数 据 都 是 真 实 的 。 一 般 可 以 在 网 络 环 境 中 ， 通 过 交 换 机 的 端 口 聚 合 技 术 ， 在 一 台 机 器 上 创 建 多 个 网 段 的 I P ， 将 流 量 引 入 集 中 到 一 台 机 器 上 ， 然 后 在 这 台 机 器 上 部 署 各 个 I P 的 监 听 ， 理 想 的 状 态 下 是 可 以 提 供 这 种 机 制 的 ， 如 果 不 行 也 可 以 通 过 树 莓 派 等 手 段 ， 创 建 蜜 罐 。 现 在 有 很 多 种 的 蜜 罐 系 统 可 以 提 供 给 安 全 运 维 人 员 使 用 ， 进 行 蜜 罐 系 统 部 署 ， 在 各 色 的 开 源 蜜 罐 系 统 中 ， 我 们 选 了 相 对 比 较 有 代 表 性 的 蜜 罐 系 统 给 大 家 介 绍 ， 一 般 会 根 据 蜜 罐 的 ： 难 易 性 、 可 用 性 、 展 示 性 、 交 互 性 等 方 面 考 察 蜜 罐 系 统 的 特 点 ， 从 另 一 个 角 度 划 分 ， 可 分 成 纯 命 令 行 和 U I 画 面 支 持 的 。 a ) ： 纯 命 令 行 式 的 操 作 方 式 ， 比 如 O p e n c a n a r y 这 个 蜜 罐 系 统 。 b ) ： 有 D a s h b o a r d 界 面 的 可 视 化 蜜 罐 系 统 ， 比 如 O p e n C a n a r y ， H f i s h 等 ， 这 次 主 要 介 绍 的 是 O p e c a n a r y 。 O p e n C a n a r y 蜜 罐 系 统 O p e n C a n a r y 是 一 种 开 源 蜜 罐 系 统 ， 在 黑 帽 在 2 0 1 5 开 源 的 ， 实 现 语 言 采 用 P y t h o n 实 现 ， 因 为 是 开 源 的 代 码 ， 我 们 可 基 于 这 一 套 代 码 ， 进 行 扩 展 和 改 写 ，   也 因 为 P y t h o n 的 友 好 性 ， 可 以 相 对 快 速 的 实 现 我 们 想 要 的 新 功 能 。 O p e n c a n a r y 的 代 码 量 真 的 不 是 很 大 ， 代 码 结 构 清 晰 ， 扩 展 简 单 ， 设 计 的 不 复 杂 。 O p e n C a n a y 是 一 种 基 于 命 令 行 式 的 蜜 罐 服 务 系 统 ， 没 有 给 出 过 多 的 U I 操 作 界 面 ， 基 本 操 作 都 是 通 过 命 令 行 ， 然 后 通 过 改 写 配 置 文 件 ， 完 成 对 蜜 罐 的 各 种 配 置 。 通 过 配 置 文 件 的 方 式 对 专 家 啊 来 说 ， 不 是 一 问 题 ， 但 操 作 友 好 性 上 还 是 一 般 ， 但 是 可 以 达 到 正 配 置 目 的 。 O p e n c a n a r y 的 基 本 实 现 原 理 也 是 通 过 设 置 各 种 监 听 的 端 口 ， 模 拟 各 种 流 行 的 服 务 ， 而 底 层 实 现 端 口 监 听 ， 依 赖 于 t w i s t e d 的 p y t h o n 库 实 现 。 0 x 0 1   安 装 安 装 P y t h o n o p e n c a n a r y 是 基 于 P y t h o n 的 运 行 环 境 的 ， 提 到 运 行 环 境 ， 我 们 往 往 就 面 临 着 一 个 不 同 操 作 系 统 P y t h o n 环 境 不 同 的 问 题 ， 为 了 避 免 各 种 平 台 差 异 造 成 的 依 赖 包 困 扰 ， 我 们 选 择 虚 拟 的 P y t h o n 环 境 v i r t u a l e n v 来 安 装 O p e n c a n a n r y ， 这 样 所 需 环 境 都 在 虚 拟 的 环 境 下 安 装 。 同 时 又 在 默 认 的 系 统 环 境 下 ， 通 过 p i p 安 装 部 署 ， 大 多 数 情 况 下 ， 是 不 会 出 现 问 题 。 部 署 O p e n c a n a r y 之 前 请 确 保 您 的 机 器 上 有 大 于 等 P y t h o n 2 . 7 版 本 的 P y t h o n 语 言 环 境 系 统 ， 至 少 可 以 用 于 运 行 P y t h o n 语 言 ， 之 后 基 于 这 个 创 建 我 们 需 要 的 O p e n c a n a r y 运 行 环 境 。 0 x 0 2   部 署 依 赖 部 署 依 赖 使 用 v i r t u a l e n v 保 证 P y t h o n 环 境 下 依 赖 包 互 隔 离 不 影 响 ， 还 是 要 强 调 一 下 ， 不 用 这 个 也 可 以 正 常 装 ， 这 样 可 以 直 接 在 系 统 默 认 的 库 下 改 源 码 。 相 关 的 依 赖 库 ， 在 P y t h o n 安 装 之 后 ， 都 是 通 过 p i p 来 安 装 。 2 . 1   安 装 安 装 P I P 在 安 装 P I P 的 前 ， 还 要 需 要 安 装 P y t h o n 的 开 发 安 装 包 : p y t h o n - d e v e ， 如 果 不 安 装 p y t h o n 开 发 包 ， 会 提 示 找 不 到 p y t h o n . h 这 个 文 件 ， p i p 是 没 有 办 法 正 常 安 装 。 2 . 2   安 装 安 装 V i r t u a l E n v 安 装 v i r t u a l e n v 之 后 ， 我 们 可 以 将 之 后 使 用 的 各 种 依 赖 包 ， 都 装 到 虚 拟 环 境 中 ， 而 不 装 到 p y t h o n 默 认 的 库 文 件 中 ， 一 般 用 r o o t 用 户 安 装 的 v i r t u a l e n v 生 成 文 件 都 在 / r o o t / . v i r t u a l e n v s / 中 。 而 系 统 默 认 安 装 的 库 文 件 的 位 置 是 在 ， / u s r / l i b / p y t h o n 2 . 7 / s i t e - p a c k a g e s / 中 ， 这 样 环 境 之 间 的 依 赖 包 不 互 相 影 响 。 细 分 的 这 么 清 楚 ， 是 因 为 后 续 我 们 要 修 改 o p e n c a n a r y 源 码 ， 不 同 的 部 署 方 法 ， 源 代 码 的 位 置 是 不 一 样 的 。 o p e n c a n a r y 是 在 p y t h o n 2 . x 下 运 行 的 ， 在 官 网 g i t h u b 上 可 以 看 到 更 具 体 说 明 ， 而 一 些 特 别 的 需 要 关 注 点 的 ， 在 这 里 给 出 一 些 重 点 的 说 明 。 有 了 v i r t u a l e n v , 我 们 可 以 在 一 台 机 器 上 ， 装 多 个 p y t h o n 的 环 境 。 但 实 际 我 们 装 个 p y t h o n 2 . 7 版 本 的 环 境 就 基 本 满 足 目 前 的 需 求 。 2 . 3   创 建 创 建 P y t h o n 虚 拟 环 境 虚 拟 环 境 编 辑 . b a s h _ p r o f i l e 文 件 内 容 。 v i r t u a l e v n w r a p p e r . s h 的 所 在 位 置 ， 取 决 于 你 安 装 时 指 定 的 安 装 位 置 ， 有 可 能 在 / u s r / l o c a l / b i n 下 ， 也 可 能 在 / u s r / b i n 下 ， 当 初 指 定 的 安 装 目 录 位 置 ， 只 有 运 行 了 这 个   s h e l l 脚 本 ， 后 续 执 行 在 s h e l l 中 ， 才 p y t h o n   g e t - p i p . p y s u d o   p i p   i n s t a l l   v i r t u a l e n v s u d o   p i p   i n s t a l l   v i r t u a l e n v w r a p p e r   - - u p g r a d e   - - i g n o r e - i n s t a l l e d s o u r c e   / u s r / l o c a l / b i n / v i r t u a l e n v w r a p p e r . s h
能 找 到 m k v i r t u a l e n v 执 行 文 件 。 我 们 创 建 了 一 个 叫 做 p y 2 7 的 虚 拟 环 境 。 我 们 切 换 到 p y 2 7 这 个 P y t h o n 环 境 下 。 2 . 4   安 装 安 装 O p e n c a n a n r y p i p 在 安 装 o p e n c a n a r y 时 ， 会 自 动 安 装 他 所 需 求 要 的 各 种 依 赖 ， 一 般 不 出 问 题 的 话 ， 一 切 都 会 顺 利 安 装 完 成 。 0 x 0 3   管 理 配 置 管 理 配 置 O p e n c a n a r y 的 配 置 几 乎 都 在 配 置 文 件 里 生 成 ， 第 一 次 安 装 的 时 候 ， 我 们 可 以 通 过 命 令 行 创 建 一 个 配 置 文 件 ， 这 个 配 置 默 认 只 打 开 了 F T P 的 蜜 罐 监 听 加 c o p y c o n f i g 选 项 的 意 思 是 ， 是 生 成 了 一 个 模 板 配 置 文 件 / r o o t / . o p e n c a n a r y . c o n f ， 整 个 o p e n c a n a r y 支 持 多 种 服 务 的 监 听 ： F T P H T T P P r o x y M S S Q L M y S Q L N T P P o r t s c a n R D P S a m b a S I P S N M P S S H T e l n e t T F T P V N C 为 了 更 直 观 一 些 ， 我 们 截 取 一 段 f t p 监 听 的 代 码 ： m k v i r t u a l e n v   p y 2 7   - p   / u s r / b i n / p y t h o n w o r k o n   p y 2 7 s u d o   p i p   i n s t a l l   o p e n c a n a r y o p e n c a n a r y d   - - c o p y c o n f i g f r o m   o p e n c a n a r y . m o d u l e s   i m p o r t   C a n a r y S e r v i c e f r o m   t w i s t e d . a p p l i c a t i o n   i m p o r t   i n t e r n e t f r o m   t w i s t e d . p r o t o c o l s . f t p   i m p o r t   F T P F a c t o r y ,   F T P R e a l m ,   F T P ,   U S R _ L O G G E D _ I N _ P R O C E E D ,   G U E S T _ L O G G E D _ I N _ P R O C E E D ,   I F T P S h e l l ,   A u t h o r i z a t i o n E r r o r f r o m   t w i s t e d . c r e d . p o r t a l   i m p o r t   P o r t a l f r o m   z o p e . i n t e r f a c e   i m p o r t   i m p l e m e n t s f r o m   t w i s t e d . c r e d . c h e c k e r s   i m p o r t   I C r e d e n t i a l s C h e c k e r f r o m   t w i s t e d . p y t h o n   i m p o r t   f a i l u r e f r o m   t w i s t e d . c r e d   i m p o r t   e r r o r   a s   c r e d _ e r r o r ,   c r e d e n t i a l s F T P _ P A T H   =   " / b r i a r / d a t a / f t p " c l a s s   D e n y A l l A c c e s s : i m p l e m e n t s ( I C r e d e n t i a l s C h e c k e r ) c r e d e n t i a l I n t e r f a c e s   =   ( c r e d e n t i a l s . I A n o n y m o u s ,   c r e d e n t i a l s . I U s e r n a m e P a s s w o r d ) d e f   r e q u e s t A v a t a r I d ( s e l f ,   c r e d e n t i a l s ) : r e t u r n   f a i l u r e . F a i l u r e ( c r e d _ e r r o r . U n a u t h o r i z e d L o g i n ( ) ) c l a s s   L o g g i n g F T P ( F T P ) : # r i p p e d   f r o m   m a i n   F T P   c l a s s ,   o v e r r i d d e n   t o   e x t r a c t   c o n n e c t i o n   i n f o d e f   f t p _ P A S S ( s e l f ,   p a s s w o r d ) : " " " S e c o n d   p a r t   o f   l o g i n .   G e t   t h e   p a s s w o r d   t h e   p e e r   w a n t s   t o a u t h e n t i c a t e   w i t h . " " " i f   s e l f . f a c t o r y . a l l o w A n o n y m o u s   a n d   s e l f . _ u s e r   = =   s e l f . f a c t o r y . u s e r A n o n y m o u s : #   a n o n y m o u s   l o g i n c r e d s   =   c r e d e n t i a l s . A n o n y m o u s ( ) r e p l y   =   G U E S T _ L O G G E D _ I N _ P R O C E E D e l s e : #   u s e r   l o g i n c r e d s   =   c r e d e n t i a l s . U s e r n a m e P a s s w o r d ( s e l f . _ u s e r ,   p a s s w o r d ) r e p l y   =   U S R _ L O G G E D _ I N _ P R O C E E D l o g d a t a   =   { ' U S E R N A M E ' :   s e l f . _ u s e r ,   ' P A S S W O R D ' :   p a s s w o r d } s e l f . f a c t o r y . c a n a r y s e r v i c e . l o g ( l o g d a t a ,   t r a n s p o r t = s e l f . t r a n s p o r t ) d e l   s e l f . _ u s e r
f t p 监 听 服 代 码 在 8 0 多 行 ， 就 完 成 模 拟 服 务 ， 可 以 看 到 使 用 t w i s t e d 库 。 其 它 模 拟 代 码 都 在 m o u l e s 目 录 下 ， 都 可 参 考 。 配 置 文 件 中 ， 默 认 打 开 了 F T P 的 访 问 ， 用 一 个 正 常 的 f t p 客 户 端 ， 无 论 是 命 令 行 还 是 G U I 工 具 都 可 以 ： d e f   _ c b L o g i n ( ( i n t e r f a c e ,   a v a t a r ,   l o g o u t ) ) : a s s e r t   i n t e r f a c e   i s   I F T P S h e l l ,   " T h e   r e a l m   i s   b u s t e d ,   j e r k . " s e l f . s h e l l   =   a v a t a r s e l f . l o g o u t   =   l o g o u t s e l f . w o r k i n g D i r e c t o r y   =   [ ] s e l f . s t a t e   =   s e l f . A U T H E D r e t u r n   r e p l y d e f   _ e b L o g i n ( f a i l u r e ) : f a i l u r e . t r a p ( c r e d _ e r r o r . U n a u t h o r i z e d L o g i n ,   c r e d _ e r r o r . U n h a n d l e d C r e d e n t i a l s ) s e l f . s t a t e   =   s e l f . U N A U T H r a i s e   A u t h o r i z a t i o n E r r o r d   =   s e l f . p o r t a l . l o g i n ( c r e d s ,   N o n e ,   I F T P S h e l l ) d . a d d C a l l b a c k s ( _ c b L o g i n ,   _ e b L o g i n ) r e t u r n   d c l a s s   C a n a r y F T P ( C a n a r y S e r v i c e ) : N A M E   =   ' f t p ' d e f   _ _ i n i t _ _ ( s e l f , c o n f i g = N o n e ,   l o g g e r = N o n e ) : C a n a r y S e r v i c e . _ _ i n i t _ _ ( s e l f ,   c o n f i g = c o n f i g ,   l o g g e r = l o g g e r ) s e l f . b a n n e r   =   c o n f i g . g e t V a l ( ' f t p . b a n n e r ' ,   d e f a u l t = ' F T P   R e a d y . ' ) . e n c o d e ( ' u t f 8 ' ) s e l f . p o r t   =   c o n f i g . g e t V a l ( ' f t p . p o r t ' ,   d e f a u l t = 2 1 ) #   f i n d   a   p l a c e   t o   c h e c k   t h a t   l o g t y p e   i s   i n i t i a l i s e d #   f i n d   a   p l a c e   t o   c h e c k   t h a t   f a c t o r y   h a s   s e r v i c e   a t t a c h e d s e l f . l o g t y p e   =   l o g g e r . L O G _ F T P _ L O G I N _ A T T E M P T s e l f . l i s t e n _ a d d r   =   c o n f i g . g e t V a l ( ' d e v i c e . l i s t e n _ a d d r ' ,   d e f a u l t = ' ' ) d e f   g e t S e r v i c e ( s e l f ) : p   =   P o r t a l ( F T P R e a l m ( F T P _ P A T H ) ,   [ D e n y A l l A c c e s s ( ) ] ) f   =   F T P F a c t o r y ( p ) f . p r o t o c o l   =   L o g g i n g F T P f . w e l c o m e M e s s a g e   =   s e l f . b a n n e r f . c a n a r y s e r v i c e   =   s e l f r e t u r n   i n t e r n e t . T C P S e r v e r ( s e l f . p o r t ,   f ,   i n t e r f a c e = s e l f . l i s t e n _ a d d r ) f r o m   t w i s t e d . a p p l i c a t i o n   i m p o r t   i n t e r n e t f r o m   t w i s t e d . p r o t o c o l s . f t p   i m p o r t   F T P F a c t o r y ,   F T P R e a l m ,   F T P ,   U S R _ L O G G E D _ I N _ P R O C E E D ,   G U E S T _ L O G G E D _ I N _ P R O C E E D ,   I F T P S h e l l ,   A u t h o r i z a t i o n E r r o r { " d e v i c e . n o d e _ i d " :   " o p e n c a n a r y - 1 " , " g i t . e n a b l e d " :   f a l s e , " g i t . p o r t "   :   9 4 1 8 , " f t p . e n a b l e d " :   t r u e , " f t p . p o r t " :   2 1 , " f t p . b a n n e r " :   " F T P   s e r v e r   r e a d y " , " h t t p . b a n n e r " :   " A p a c h e / 2 . 2 . 2 2   ( U b u n t u ) " , " h t t p . e n a b l e d " :   f a l s e , " h t t p . p o r t " :   8 0 , " h t t p . s k i n " :   " n a s L o g i n " , " h t t p . s k i n . l i s t " :   [ { " d e s c " :   " P l a i n   H T M L   L o g i n " , " n a m e " :   " b a s i c L o g i n " } , { " d e s c " :   " S y n o l o g y   N A S   L o g i n " , " n a m e " :   " n a s L o g i n " } ] , " h t t p p r o x y . e n a b l e d "   :   f a l s e , " h t t p p r o x y . p o r t " :   8 0 8 0 , " h t t p p r o x y . s k i n " :   " s q u i d " , " h t t p r o x y . s k i n . l i s t " :   [ { " d e s c " :   " S q u i d " , " n a m e " :   " s q u i d " } , { " d e s c " :   " M i c r o s o f t   I S A   S e r v e r   W e b   P r o x y " , " n a m e " :   " m s - i s a " } ] , " l o g g e r " :   { " c l a s s " :   " P y L o g g e r " , " k w a r g s " :   { " f o r m a t t e r s " :   { " p l a i n " :   { " f o r m a t " :   " % ( m e s s a g e ) s "
当 配 置 文 件 用 - - c o p y c o n f i g 生 成 后 ， 我 们 执 行 O p e n c a n a r y 服 务 启 动 程 序 。 对 于 我 们 想 创 建 的 监 听 服 务 ， 我 们 把 对 应 服 务 在 配 置 中 的 . e n a b l e d 选 项 设 置 成 t r u e 即 可 ， 用 - - r e s t a r t 重 启 o p e n c a n a r y 服 务 之 后 ， 就 可 以 打 开 服 务 端 口 监 听 启 动 服 务 当 所 有 的 模 拟 监 听 服 务 都 打 开 的 时 候 ， 会 出 现 类 似 下 面 的 进 程 信 息 。 " f o r m a t " :   " % ( m e s s a g e ) s " } } , " h a n d l e r s " :   { " c o n s o l e " :   { " c l a s s " :   " l o g g i n g . S t r e a m H a n d l e r " , " s t r e a m " :   " e x t : / / s y s . s t d o u t " } , " f i l e " :   { " c l a s s " :   " l o g g i n g . F i l e H a n d l e r " , " f i l e n a m e " :   " / v a r / t m p / o p e n c a n a r y . l o g " } } } } , " p o r t s c a n . e n a b l e d " :   f a l s e , " p o r t s c a n . l o g f i l e " : " / v a r / l o g / k e r n . l o g " , " p o r t s c a n . s y n r a t e " :   5 , " p o r t s c a n . n m a p o s r a t e " :   5 , " p o r t s c a n . l o r a t e " :   3 , " s m b . a u d i t f i l e " :   " / v a r / l o g / s a m b a - a u d i t . l o g " , " s m b . e n a b l e d " :   f a l s e , " m y s q l . e n a b l e d " :   f a l s e , " m y s q l . p o r t " :   3 3 0 6 , " m y s q l . b a n n e r " :   " 5 . 5 . 4 3 - 0 u b u n t u 0 . 1 4 . 0 4 . 1 " , " s s h . e n a b l e d " :   f a l s e , " s s h . p o r t " :   2 2 , " s s h . v e r s i o n " :   " S S H - 2 . 0 - O p e n S S H _ 5 . 1 p 1   D e b i a n - 4 " , " r e d i s . e n a b l e d " :   f a l s e , " r e d i s . p o r t " :   6 3 7 9 , " r d p . e n a b l e d " :   f a l s e , " r d p . p o r t " :   3 3 8 9 , " s i p . e n a b l e d " :   f a l s e , " s i p . p o r t " :   5 0 6 0 , " s n m p . e n a b l e d " :   f a l s e , " s n m p . p o r t " :   1 6 1 , " n t p . e n a b l e d " :   f a l s e , " n t p . p o r t " :   " 1 2 3 " , " t f t p . e n a b l e d " :   f a l s e , " t f t p . p o r t " :   6 9 , " t c p b a n n e r . m a x n u m " : 1 0 , " t c p b a n n e r . e n a b l e d " :   f a l s e , " t c p b a n n e r _ 1 . e n a b l e d " :   f a l s e , " t c p b a n n e r _ 1 . p o r t " :   8 0 0 1 , " t c p b a n n e r _ 1 . d a t a r e c e i v e d b a n n e r " :   " " , " t c p b a n n e r _ 1 . i n i t b a n n e r " :   " " , " t c p b a n n e r _ 1 . a l e r t s t r i n g . e n a b l e d " :   f a l s e , " t c p b a n n e r _ 1 . a l e r t s t r i n g " :   " " , " t c p b a n n e r _ 1 . k e e p _ a l i v e . e n a b l e d " :   f a l s e , " t c p b a n n e r _ 1 . k e e p _ a l i v e _ s e c r e t " :   " " , " t c p b a n n e r _ 1 . k e e p _ a l i v e _ p r o b e s " :   1 1 , " t c p b a n n e r _ 1 . k e e p _ a l i v e _ i n t e r v a l " : 3 0 0 , " t c p b a n n e r _ 1 . k e e p _ a l i v e _ i d l e " :   3 0 0 , " t e l n e t . e n a b l e d " :   f a l s e , " t e l n e t . p o r t " :   " 2 3 " , " t e l n e t . b a n n e r " :   " " , " t e l n e t . h o n e y c r e d s " :   [ { " u s e r n a m e " :   " a d m i n " , " p a s s w o r d " :   " $ p b k d f 2 - s h a 5 1 2 $ 1 9 0 0 0 $ b G 1 N a Y 3 x v j d G y B l j 7 N 3 7 X w $ d G r m B q q W a 1 o k T C p N 3 Q E m e o 9 j 5 D u V 2 u 1 E u V F D 8 D i 0 G x N i M 6 4 T o 5 O / Y 6 6 f 7 U A S v n Q r 8 . L C z q T m 6 a w C 8 K j / a G K v w A " } , { " u s e r n a m e " :   " a d m i n " , " p a s s w o r d " :   " a d m i n 1 " } ] , " m s s q l . e n a b l e d " :   f a l s e , " m s s q l . v e r s i o n " :   " 2 0 1 2 " , " m s s q l . p o r t " : 1 4 3 3 , " v n c . e n a b l e d " :   f a l s e , " v n c . p o r t " : 5 0 0 0 } o p e n c a n a r y d   - - s t a r t n e t s t a t   - p l u n t
重 启 服 务 关 闭 服 务 其 它 的 命 令 参 数 使 用 可 以 用 - - h e l p 查 一 下 。 0 x 0 4   报 警 日 志 报 警 日 志 O p e n c a n a r y 模 拟 了 各 种 服 务 的 监 听 ， 当 模 拟 监 听 被 触 发 的 时 候 就 会 报 警 ， 产 生 日 志 ， 下 面 给 出 发 报 警 的 方 式 和 产 生 的 日 志 格 式 。 一 般 情 况 下 ， 我 们 会 在 机 房 和 内 网 的 网 络 环 境 下 部 署 蜜 罐 。 如 果 蜜 罐 系 统 放 到 外 网 ， 会 不 时 的 被 各 种 组 织 的 探 测 手 段 发 现 ， 进 行 标 识 统 计 。 而 在 内 网 外 部 的 探 测 行 为 是 进 不 了 内 网 的 , 除 非 节 点 被 攻 破 ， 成 为 攻 击 的 入 口 。 正 是 当 有 人 非 法 进 入 内 网 后 ， 才 会 出 现 勿 碰 蜜 罐 的 事 件 发 生 概 率 提 高 ， 而 内 部 防 御 不 只 是 一 种 防 御 手 段 ， 各 家 公 司 都 提 供 了 流 量 监 听 产 品 ， H I D S 这 种 工 具 ， O p e n c a n a r y 就 像 您 居 家 过 日 子 ， 晚 上 门 口 多 放 了 几 个 啤 酒 瓶 子 ， 如 真 的 门 锁 被 破 开 ， 入 侵 者 有 能 会 碰 到 屋 中 放 置 的 啤 酒 瓶 子 。 蜜 罐 系 统 ， 可 以 模 拟 各 种 程 序 协 议 ， 我 们 以 F T P 为 例 ， 展 示 一 下 蜜 罐 的 触 碰 与 报 警 日 志 生 成 的 流 程 ， O p e n c a n a r y 中 各 种 服 务 的 触 碰 方 法 ， 我 们 会 这 个 例 子 的 后 面 列 出 来 。 关 于 F T P ， 我 们 测 试 蜜 罐 服 务 器 是 1 9 2 . 1 6 8 . 0 . 6 ， 我 们 启 动 了 o p e n c a n a r y ， 然 后 用 f t p 客 户 端 进 行 访 问 ： 一 般 会 出 现 ， 类 似 下 面 的 操 作 过 程 ： 这 个 过 程 交 互 结 束 之 后 ， 就 会 生 成 一 条 j s o n 数 据 ， j s o n 日 志 数 据 如 下 ： 这 是 一 次 针 对 1 9 2 . 1 6 8 . 0 . 6 的 2 1 号 端 口 f t p 访 问 ， O p e n C a n a r y 有 一 个 f t p 模 拟 的 p y t h o n 监 听 实 现 脚 本 ， 之 前 也 说 过 是 基 于 t w i s t e d 的 实 现 ， 当 蜜 罐 系 统 监 听 到 入 侵 者 访 问 时 ， 就 会 把 相 应 的 p a y l o g 存 起 来 ， 然 后 记 录 到 日 志 文 件 中 ， 在 o p e n c a n a r y . c o n f 中 设 置 的 日 志 文 件 位 置 是 / u s r / t m p / o p e n c a n a r y . l o g 中 。 官 方 的 o p e n c a n a r y 的 日 志 都 是 生 成 到 本 地 ， 后 面 我 们 会 给 出 一 ， 如 何 将 日 志 转 存 到 其 它 地 方 。 下 面 我 们 列 举 出 ， 几 乎 所 有 o p e n c a n a r y 蜜 罐 支 持 协 议 的 触 发 方 法 ： 4 . 1   H T T P 触 发 方 法 日 志 数 据 4 . 2   F T P 触 发 方 法 日 志 数 据 4 . 3   S S H n e t s t a t   - p l u n t t c p   0   0   0 . 0 . 0 . 0 : 2 2 2 2   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 8 0 8 0   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 8 0   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 2 1   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 2 3   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 1 4 3 3   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 3 3 8 9   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 8 0 0 1   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 5 0 0 0   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 9 4 1 8   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 3 3 0 6   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n t c p   0   0   0 . 0 . 0 . 0 : 6 3 7 9   0 . 0 . 0 . 0 : *   L I S T E N   1 2 6 8 3 / p y t h o n u d p   0   0   0 . 0 . 0 . 0 : 5 7 1 9 7   0 . 0 . 0 . 0 : *   8 9 9 4 / p y t h o n u d p   0   0   0 . 0 . 0 . 0 : 5 0 6 0   0 . 0 . 0 . 0 : *   1 2 6 8 3 / p y t h o n u d p   0   0   0 . 0 . 0 . 0 : 6 9   0 . 0 . 0 . 0 : *   1 2 6 8 3 / p y t h o n u d p   0   0   0 . 0 . 0 . 0 : 1 2 3   0 . 0 . 0 . 0 : *   1 2 6 8 3 / p y t h o n u d p   0   0   0 . 0 . 0 . 0 : 1 6 1   0 . 0 . 0 . 0 : *   1 2 6 8 3 / p y t h o n o p e n c a n a r y d   - - r e s t a r t o p e n c a n a r y d   - - s t o p o p e n c a n a r y d   - - h e l p f t p   1 9 2 . 1 6 8 . 0 . 6 [ r o o t @ l o c a l h o s t   o p e n c a n a r y ] #   f t p   1 9 2 . 1 6 8 . 0 . 6 C o n n e c t e d   t o   1 9 2 . 1 6 8 . 0 . 6   ( 1 9 2 . 1 6 8 . 0 . 6 ) . 2 2 0   F T P   s e r v e r   r e a d y N a m e   ( 1 9 2 . 1 6 8 . 0 . 6 : r o o t ) :   t e s t 3 3 1   P a s s w o r d   r e q u i r e d   f o r   t e s t . P a s s w o r d : 5 3 0   S o r r y ,   A u t h e n t i c a t i o n   f a i l e d . L o g i n   f a i l e d . f t p > { " s r c _ p o r t " :   3 5 9 9 0 ,   " l o g d a t a " :   { " U S E R N A M E " :   " t e s t " ,   " P A S S W O R D " :   " 1 2 3 4 5 6 " } ,   " l o g t y p e " :   2 0 0 0 ,   " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 0 . 6 " ,   " d s t _ p o r t " :   2 1 ,   " s r c _ h o s t " :   " 1 9 2 . 1 6 8 . 0 . 5 " } c u r l   0 . 0 . 0 . 0 : 8 0 { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   8 0 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   1 3 : 4 7 : 4 5 . 8 1 7 9 4 0 " ,   " l o g d a t a " :   { " H O S T N A M E " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " P A S S W O R D " :   " a d m i n 8 8 8 " ,   " P A T H " :   " / i n d e x . h t m l " f t p   1 7 2 . 1 2 . 2 0 0 . 5 8 { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   8 0 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   1 3 : 4 7 : 4 5 . 8 1 7 9 4 0 " ,   " l o g d a t a " :   { " H O S T N A M E " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " P A S S W O R D " :   " a d m i n 8 8 8 " ,   " P A T H " :   " / i n d e x . h t m l "
触 发 方 法 日 志 4 . 4   T e l n e t 触 发 方 法 日 志 数 据 4 . 5   M y s q l 触 发 方 法 日 志 数 据 4 . 6   G i t 触 发 方 法 日 志 数 据 4 . 7   N T P 触 发 方 法 日 志 数 据 4 . 8   R e d i s 触 发 方 法 日 志 数 据 4 . 9   T C P 触 发 方 法 日 志 4 . 1 0   V N C 触 发 方 法 用 V N C 客 户 端 访 问 日 志 数 据 4 . 1 1   R D P 触 发 方 法 日 志 数 据 4 . 1 2   S I P 触 发 方 法 s s h   r o o t @ 1 7 2 . 1 8 . 2 0 0 . 5 8 { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   2 2 2 2 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   1 3 : 5 4 : 2 7 . 8 1 1 1 0 1 " ,   " l o g d a t a " :   { " S E S S I O N " :   " 3 " } ,   " l o g t y p e " :   4 0 0 0 ,   " n o d e _ i d " :   " o p e n c a n a r y - 1 " ,   " s r c _ h o s t " t e l n e t   1 7 2 . 1 8 . 2 0 0 . 5 8 { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   2 3 ,   " h o n e y c r e d " :   f a l s e ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   1 3 : 5 6 : 4 5 . 3 4 1 7 8 5 " ,   " l o g d a t a " :   { " P A S S W O R D " :   " a d m i n 8 8 8 " ,   " U S E R N A M E " :   " a d m i n 1 2 3 " } ,   " l o g t y p e " m y s q l   - h 1 7 2 . 1 8 . 2 0 0 . 5 8   - u r o o t   - p { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   3 3 0 6 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   1 3 : 5 8 : 2 5 . 9 2 2 2 5 7 " ,   " l o g d a t a " :   { " P A S S W O R D " :   " 1 8 0 7 6 c 0 9 6 1 5 d e 8 0 d d b 2 9 0 3 1 9 1 b 7 8 3 7 1 4 9 1 8 b 4 c 4 f " ,   " U S E R N A M E " :   " r o o t " g i t   c l o n e   g i t : / / 1 9 2 . 1 6 8 . 1 . 7 : 9 4 1 8 / t m p . g i t { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   9 4 1 8 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 5   1 5 : 3 8 : 4 6 . 3 6 8 6 2 7 " ,   " l o g d a t a " :   { " H O S T " :   " 1 9 2 . 1 6 8 . 1 . 7 : 9 4 1 8 " ,   " R E P O " :   " t m p . g i t " } ,   " l o g t y p e " :   1 6 0 0 1 ,   " n o d e _ i d " g i t   c l o n e   g i t : / / 1 9 2 . 1 6 8 . 1 . 7 : 9 4 1 8 / t m p . g i t { " d s t _ h o s t " :   " 0 . 0 . 0 . 0 " ,   " d s t _ p o r t " :   1 2 3 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 5   1 5 : 5 8 : 5 2 . 0 7 5 9 8 7 " ,   " l o g d a t a " :   { " N T P   C M D " :   " m o n l i s t " } ,   " l o g t y p e " :   1 1 0 0 1 ,   " n o d e _ i d " :   " o p e n c a n a r y - 1 " ,   " s r c _ h o s t " ( e n v )   [ r o o t @ h o n e y p o t   H o n e y p o t ] #   r e d i s - c l i   - h   1 9 2 . 1 6 8 . 1 . 7 1 9 2 . 1 6 8 . 1 . 7 : 6 3 7 9 >   k e y s   * ( e r r o r )   N O A U T H   A u t h e n t i c a t i o n   r e q u i r e d . 1 9 2 . 1 6 8 . 1 . 7 : 6 3 7 9 >   c o n f i g   g e t   r e q u i r e p a s s ( e r r o r )   E R R   u n k n o w n   c o m m a n d   ' c o n f i g ' 1 9 2 . 1 6 8 . 1 . 7 : 6 3 7 9 >   a u t h   a d m i n ( { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   6 3 7 9 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 5   1 6 : 0 5 : 1 1 . 6 3 7 2 6 9 " ,   " l o g d a t a " :   { " A R G S " :   " " ,   " C M D " :   " C O M M A N D " } ,   " l o g t y p e " :   1 7 0 0 1 ,   " n o d e _ i d " :   " o p e n c a n a r y - 1 " t e l n e t   1 9 2 . 1 6 8 . 1 . 6   8 0 0 1 { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 6 " ,   " d s t _ p o r t " :   8 0 0 1 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 5   1 7 : 1 8 : 5 1 . 6 0 1 4 7 8 " ,   " l o g d a t a " :   { " B A N N E R _ I D " :   " 1 " ,   " D A T A " :   " " ,   " F U N C T I O N " :   " C O N N E C T I O N _ M A D E " } ,   " l o g t y p e " :   { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   5 0 0 0 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   0 8 : 2 1 : 2 8 . 9 5 1 9 4 0 " ,   " l o g d a t a " :   { " V N C   C l i e n t   R e s p o n s e " :   " 5 8 c 0 0 b e 9 e e 5 b 7 f 3 b 6 6 6 7 7 1 d d 2 b d a 9 3 0 9 " ,   " V N C   P a s s w o r d " { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   3 3 8 9 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   0 8 : 5 9 : 1 3 . 8 9 0 9 3 4 " ,   " l o g d a t a " :   { " D O M A I N " :   " " ,   " H O S T N A M E " :   " H e l l o H o s t " ,   " P A S S W O R D " :   " h e l l o w o r d " ,   " U S E R N A M E " h y d r a   - l   a d m i n s i p   - p   p a s s w o r d   1 9 2 . 1 6 8 . 1 . 7   s i p
日 志 格 式 4 . 1 3   S N M P 触 发 方 法 日 志 数 据 4 . 1 4   N M A P 触 发 方 法 日 志 数 据 4 . 1 5   S Y N 探 测 探 测 触 发 方 法 日 志 数 据 4 . 1 6   F I N 探 测 探 测 触 发 方 法 日 志 数 据 4 . 1 7   X m a s T r e e 探 测 探 测 触 发 方 法 日 志 数 据 4 . 1 8   N u l l 探 测 探 测 触 发 方 法 日 志 数 据 4 . 1 9   M S S Q L 触 发 方 法 M S S Q L 客 户 端 工 具 日 志 数 据 4 . 2 0   H T T P P r o x y 触 发 方 法 浏 览 器 配 置 日 志 数 据 0 x 0 5   O p e n c a n a r y 的 功 能 扩 展 的 功 能 扩 展 O p e n c a n a y 是 用 P y t h o n 开 源 的 ， 我 们 可 以 根 据 我 们 具 体 的 需 求 ， 扩 展 o p e n c a n a r y 的 功 能 ， 这 个 需 求 产 生 的 原 因 ， 是 我 们 需 要 对 报 警 日 志 进 行 汇 聚 。 蜜 罐 日 志 是 日 常 威 胁 日 志 收 集 的 一 部 分 ， 蜜 罐 报 警 的 日 志 分 析 的 优 先 级 相 对 是 很 高 的 ， 因 为 一 般 情 况 下 ， 蜜 罐 的 误 碰 不 应 该 太 多 （ 白 名 单 ） ， 所 以 第 一 时 间 出 现 问 题 ， 需 要 蜜 罐 把 数 据 推 给 日 志 分 析 系 统 、 或 是 日 志 接 收 服 务 ， 数 据 的 取 得 有 多 种 方 式 ， 之 前 一 种 方 式 是 把 日 志 存 到 本 地 的 日 志 文 本 文 件 中 ， 实 时 也 写 到 m y s q l 数 据 中 ， 然 后 再 由 其 它 程 序 进 行 轮 训 ， 这 种 处 理 方 式 有 一 个 问 题 是 ， 轮 询 是 有 时 间 间 隔 的 ， 定 时 任 务 的 轮 训 机 制 ， 真 实 的 报 警 时 间 和 攻 击 实 际 发 生 时 间 可 能 不 在 一 个 时 间 点 ， 这 样 在 做 关 联 分 析 时 ， 如 果 没 有 唯 一 标 识 机 器 属 性 时 ， 比 如 ： m a c ， 没 法 判 断 内 网 I P 对 应 { " d s t _ h o s t " :   " 0 . 0 . 0 . 0 " ,   " d s t _ p o r t " :   5 0 6 0 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   0 9 : 5 5 : 1 2 . 5 7 8 1 4 8 " ,   " l o g d a t a " :   { " H E A D E R S " :   { " c a l l - i d " :   [ " 1 3 3 7 @ 1 9 2 . 1 6 8 . 1 . 7 " ] ,   " c o n t e n t - l e n g t h " :   [ " 0 " ] ,   " c s e q " h y d r a   - p   p a s s w o r d   1 9 2 . 1 6 8 . 1 . 7   s n m p { " d s t _ h o s t " :   " 0 . 0 . 0 . 0 " ,   " d s t _ p o r t " :   1 6 1 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   1 1 : 1 7 : 2 7 . 2 6 6 2 1 4 " ,   " l o g d a t a " :   { " C O M M U N I T Y _ S T R I N G " :   " p a s s w o r d " ,   " R E Q U E S T S " :   [ " 1 . 3 . 6 . 1 . 2 . 1 . 1 . 1 " ] } ,   " l o g t y p e " :   s u d o   n m a p   - v   - P n   - O   1 9 2 . 1 6 8 . 1 . 7 { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   " 2 1 " ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   1 6 : 3 5 : 2 4 . 3 5 6 0 8 0 " ,   " l o g d a t a " :   { " F I N " :   " " ,   " I D " :   " 3 7 4 9 9 " ,   " I N " :   " e t h 1 " ,   " L E N " :   " 6 0 " ,   " M A C " :   " 0 8 : 0 0 : 2 7 : d a : 4 c : e 2 : 6 c : 9 6 : c f : d d : e e : b d : 0 8 : 0 0 " s u d o   n m a p   - s S   1 9 2 . 1 6 8 . 1 . 7 { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   " 2 1 " ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   1 6 : 3 5 : 2 4 . 1 9 0 1 7 6 " ,   " l o g d a t a " :   { " I D " :   " 5 1 9 1 8 " ,   " I N " :   " e t h 1 " ,   " L E N " :   " 5 6 " ,   " M A C " :   " 0 8 : 0 0 : 2 7 : d a : 4 c : e 2 : 6 c : 9 6 : c f : d d : e e : b d : 0 8 : 0 0 " s u d o   n m a p   - s F   1 9 2 . 1 6 8 . 1 . 7 { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   " 2 3 " ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   1 6 : 4 6 : 1 8 . 3 3 6 9 5 4 " ,   " l o g d a t a " :   { " F I N " :   " " ,   " I D " :   " 2 9 7 6 8 " ,   " I N " :   " e t h 1 " ,   " L E N " :   " 4 0 " ,   " M A C " :   " 0 8 : 0 0 : 2 7 : d a : 4 c : e 2 : 6 c : 9 6 : c f : d d : e e : b d : 0 8 : 0 0 " s u d o   n m a p   - s X   1 9 2 . 1 6 8 . 1 . 7 { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   " 1 3 9 " ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   1 6 : 4 8 : 4 6 . 2 2 5 5 3 9 " ,   " l o g d a t a " :   { " F I N " :   " " ,   " I D " :   " 1 9 9 8 4 " ,   " I N " :   " e t h 1 " ,   " L E N " :   " 4 0 " ,   " M A C " :   " 0 8 : 0 0 : 2 7 : d a : 4 c : e 2 : 6 c : 9 6 : c f : d d : e e : b d : 0 8 : 0 0 " s u d o   n m a p   - s N   1 9 2 . 1 6 8 . 1 . 7 { " d s t _ h o s t " :   " 1 9 2 . 1 6 8 . 1 . 7 " ,   " d s t _ p o r t " :   " 5 0 6 0 " ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 6   1 6 : 5 1 : 0 7 . 7 8 9 9 0 3 " ,   " l o g d a t a " :   { " I D " :   " 2 6 4 4 1 " ,   " I N " :   " e t h 1 " ,   " L E N " :   " 4 0 " ,   " M A C " :   " 0 8 : 0 0 : 2 7 : d a : 4 c : e 2 : 6 c : 9 6 : c f : d d : e e : b d : 0 8 : 0 0 " { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   1 4 3 3 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   0 9 : 0 4 : 5 8 . 6 9 0 1 3 7 " ,   " l o g d a t a " :   { " A p p N a m e " :   " S Q L P r o   f o r   M S S Q L   ( h a n k i n s o f t . c o m ) " ,   " C l t I n t N a m e " :   " D B - L i b r a r y " { " d s t _ h o s t " :   " 1 7 2 . 1 8 . 2 0 0 . 5 8 " ,   " d s t _ p o r t " :   8 0 8 0 ,   " l o c a l _ t i m e " :   " 2 0 1 9 - 0 1 - 0 7   1 3 : 2 6 : 4 7 . 7 6 1 2 9 7 " ,   " l o g d a t a " :   { " P A S S W O R D " :   " p a s s s q u i d " ,   " U S E R N A M E " :   " s q u i d a d m i n " } ,   " l o g t y p e " :   7 0 0 1 ,   " n o d e _ i d "
的 是 同 一 个 人 的 行 为 ， 所 以 ， 我 们 要 第 一 时 间 接 收 到 蜜 罐 的 报 警 。 O p e n C a n a r y 的 代 码 是 开 源 的 ，   我 们 只 需 要 改 源 代 码 ， 就 可 以 实 现 我 们 的 需 求 ， O p e n C a n a r y 有 一 个 l o g g e r 日 志 写 入 类 ， 我 们 只 要 改 这 个 模 块 的 代 码 即 可 。 我 们 一 般 有 几 种 日 志 数 据 存 储 形 式 ： 1 . R E S T A P I ： 我 们 在 蜜 罐 写 日 志 的 地 方 ， 调 用 一 个 R E S T   A P I 的 接 口 服 务 ， 将 报 警 数 据 转 发 给 其 它 的 R E S T 接 口 ， 由 接 口 写 数 据 ， 分 析 ， 报 警 。 2 . R P C ： 在 蜜 罐 写 日 志 的 地 方 加 一 个 R P C 调 用 接 口 ， 像 调 用 一 般 函 数 一 样 ， 调 用 一 个 远 程 R P C 写 日 志 方 法 。 然 后 在 P P C 服 务 端 加 入 各 种 判 定 策 略 逻 辑 ， 就 像 我 们 之 间 介 绍 的 s e m a p h o r e 那 个 项 目 。 3 . U D P   S y s l o g ： 在 蜜 罐 写 日 志 的 地 方 ， 直 接 通 过 s o c k e t c 通 过 s y s l o g 协 议 数 据 ， 把 j s o n 数 据 发 给 一 个 s y s l o g 监 听 ， 有 不 同 的 开 源 方 案 都 能 解 决 这 个 问 题 ，   我 们 一 般 采 用 的 都 是 G r a y l o g 的 数 据 收 集 方 法 ， 将 s y s l o g 监 听 的 数 据 接 收 后 ， 对 其 中 的 j s o n 格 式 数 据 时 进 行 解 析 ， 然 后 存 入 到 多 复 本 的 E S 集 群 中 ， 这 个 过 程 中 G r a y l o g 做 了 很 多 E S 数 据 的 管 理 工 作 ， 让 E S 操 作 管 理 变 得 容 易 ， 而 S p l u n k 如 果 数 据 量 不 大 是 可 以 免 费 使 用 的 ，   对 于 一 般 数 据 规 模 ， 几 个 E S 集 群 这 种 情 况 ， G r a y l o g 就 可 以 解 决 ， 功 能 看 实 际 需 求 ， 根 据 自 己 情 况 进 行 扩 展 ， 开 源 可 以 省 下 很 多 开 发 人 月 。 修 改 源 代 码 位 置 ： l o g g e r 是 一 人 单 例 模 式 的 类 ， l o g g e r . p y 在   o p e n c a n a r y 的 库 文 件 中 ， 如 果 不 出 意 外 的 话 ， 位 置 应 该 是 ： 如 果 您 是 用 v i r t u a l e n v 安 装 ， 那 库 的 位 置 就 在 您 的 虚 拟 化 p y t h o n 的 位 置 的 库 文 件 中 。 l o g g e r . p y 源 代 码 大 家 可 以 在 库 文 件 中 找 到 ，   我 们 不 列 出 所 有 源 代 码 ， 为 了 方 便 展 示 ， 我 们 不 在 文 件 中 重 写 一 个 h a n d l e r 类 ， 而 是 直 接 在 写 本 地 日 志 的 地 方 ， 将 报 警 日 志 外 发 到 S y s l o g 监 听 ， 或 是 直 接 放 给 G r a y l o g 服 务 器 ， 作 为 数 据 接 收 端 接 受 数 据 ， 后 期 对 数 据 进 行 黑 白 名 单 处 理 ， 数 据 聚 合 处 理 。 这 样 进 行 扩 展 的 好 处 就 是 ， 不 破 坏 原 有 的 执 行 时 序 ， 达 到 数 据 转 存 的 目 的 。 下 面 这 句 话 是 写 日 志 ， 我 们 另 外 加 入 几 行 转 发 s y s l o g 的 日 志 处 理 ： 这 里 要 特 别 注 意 的 地 方 是 ， 在 发 送 日 志 数 据 之 前 ， 要 把 数 据 包 装 成 j s o n 数 据 格 式 ， 这 样 当 数 据 发 送 给 G r a y l o g 之 后 ，   就 可 能 直 接 对 数 据 按 j s o n 格 式 的 数 据 切 割 。 也 可 以 通 过 自 定 义 的 s y s l o g 监 听 服 务 ， 对 数 据 进 行 各 种 加 工 处 理 。 我 们 看 一 下 o p e n c a n a r y . c o n f 中 是 如 何 关 联 到 l o g g e r 这 个 类 的 。 从 这 个 配 置 里 我 们 可 以 看 到 是 ， 直 接 关 联 到 了 l o g g i n g . F i l e a H a n d l e r 这 个 类 ， 就 是 直 接 写 了 文 件 。 实 际 上 我 们 可 以 根 据 O p e n c a n r y 提 供 的 E x a m p l e r . p y 的 模 式 写 一 个 模 块 来 扩 展 蜜 罐 的 功 能 ， 一 样 可 以 在 o p e n c a n a r y . c o n f 中 引 用 ， 这 种 模 板 是 基 于 创 建 监 听 的 。 下 面 是 模 块 编 写 的 模 板 。 / u s r / l i b / p y t h o n 2 . 7 / s i t e - p a c k a g e s / o p e n c a n a r y d e f   l o g ( s e l f ,   l o g d a t a ,   r e t r y = T r u e ) : i m p o r t   s y s l o g _ c l i e n t g r a y l o g   =   s y s l o g _ c l i e n t . S y s l o g ( " 1 9 8 . 1 6 8 . 0 . 8 " ) g r a y l o g . s e n d ( j s o n . d u m p s ( l o g d a t a ) ,   s y s l o g _ c l i e n t . L e v e l . I N F O ) l o g d a t a   =   s e l f . s a n i t i z e L o g ( l o g d a t a ) s e l f . l o g g e r . w a r n ( j s o n . d u m p s ( l o g d a t a ,   s o r t _ k e y s = T r u e ) ) s e l f . l o g g e r . w a r n ( j s o n . d u m p s ( l o g d a t a ,   s o r t _ k e y s = T r u e ) ) i m p o r t   s y s l o g _ c l i e n t g r a y l o g   =   s y s l o g _ c l i e n t . S y s l o g ( " 1 9 8 . 1 6 8 . 0 . 8 " ) g r a y l o g . s e n d ( j s o n . d u m p s ( l o g d a t a ) ,   s y s l o g _ c l i e n t . L e v e l . I N F O )         " l o g g e r " :   {                 " c l a s s " :   " P y L o g g e r " ,                 " k w a r g s " :   {                         " f o r m a t t e r s " :   {                                 " p l a i n " :   {                                         " f o r m a t " :   " % ( m e s s a g e ) s "                                 }                         } ,                         " h a n d l e r s " :   {                                 " c o n s o l e " :   {                                         " c l a s s " :   " l o g g i n g . S t r e a m H a n d l e r " ,                                         " s t r e a m " :   " e x t : / / s y s . s t d o u t "                                 } ,                                 " f i l e " :   {                                         " c l a s s " :   " l o g g i n g . F i l e H a n d l e r " ,                                         " f i l e n a m e " :   " / v a r / t m p / o p e n c a n a r y . l o g "                                 }                         }                 }         } , f r o m   o p e n c a n a r y . m o d u l e s   i m p o r t   C a n a r y S e r v i c e
还 有 一 种 方 式 ， 我 们 在 l o g g e r 文 件 中 直 接 加 一 个 h a n d l e r 处 理 ， 把 F i l e H a n d l e r 变 成 s y s l o g 的 S y s l o g H a n d l e r 。 再 修 改 o p e n c a n a r y . c o n f 配 置 文 件 。 s y s l o g 协 议 是 一 种 可 以 基 于 U D P 协 议 进 行 数 据 传 输 的 协 议 ， 在 早 期 数 据 野 蛮 生 长 的 阶 段 ， 我 们 创 建 很 多 基 于 s y s l o g 的 服 务 数 据 收 集 ， 因 为 一 般 的 安 全 设 备 都 支 持 s y s l o g 数 据 的 发 送 。 f r o m   o p e n c a n a r y . m o d u l e s   i m p o r t   C a n a r y S e r v i c e f r o m   t w i s t e d . i n t e r n e t . p r o t o c o l   i m p o r t   P r o t o c o l f r o m   t w i s t e d . i n t e r n e t . p r o t o c o l   i m p o r t   F a c t o r y f r o m   t w i s t e d . a p p l i c a t i o n   i m p o r t   i n t e r n e t c l a s s   E x a m p l e 0 P r o t o c o l ( P r o t o c o l ) : " " " E x a m p l e   ( F i c t i o n a l )   P r o t o c o l $   n c   l o c a l h o s t   8 0 0 7 W e l c o m e ! p a s s w o r d :   w r o n g 0 p a s s w o r d :   w r o n g 1 p a s s w o r d :   w r o n g 2 B a d   p a s s w o r d s $ " " " d e f   _ _ i n i t _ _ ( s e l f ) : s e l f . p r o m p t s   =   0 d e f   c o n n e c t i o n M a d e ( s e l f ) : s e l f . t r a n s p o r t . w r i t e ( " W e l c o m e ! r n p a s s w o r d :   " ) s e l f . p r o m p t s   + =   1 d e f   d a t a R e c e i v e d ( s e l f ,   d a t a ) : " " " C a r e f u l ,   d a t a   r e c i e v e d   h e r e   i s   u n b u f f e r e d .   S e e   e x a m p l e 1 f o r   h o w   t h i s   c a n   b e   b e t t e r   h a n d l e d . " " " p a s s w o r d   =   d a t a . s t r i p ( " r n " ) l o g d a t a   =   { " P A S S W O R D "   :   p a s s w o r d } s e l f . f a c t o r y . l o g ( l o g d a t a ,   t r a n s p o r t = s e l f . t r a n s p o r t ) i f   s e l f . p r o m p t s   <   3 : s e l f . t r a n s p o r t . w r i t e ( " r n p a s s w o r d :   " ) s e l f . p r o m p t s   + =   1 e l s e : s e l f . t r a n s p o r t . w r i t e ( " r n B a d   p a s s w o r d s r n " ) s e l f . t r a n s p o r t . l o s e C o n n e c t i o n ( ) c l a s s   C a n a r y E x a m p l e 0 ( F a c t o r y ,   C a n a r y S e r v i c e ) : N A M E   =   ' e x a m p l e 0 ' p r o t o c o l   =   E x a m p l e 0 P r o t o c o l d e f   _ _ i n i t _ _ ( s e l f ,   c o n f i g = N o n e ,   l o g g e r = N o n e ) : C a n a r y S e r v i c e . _ _ i n i t _ _ ( s e l f ,   c o n f i g ,   l o g g e r ) s e l f . p o r t   =   8 0 0 7 s e l f . l o g t y p e   =   l o g g e r . L O G _ B A S E _ E X A M P L E C a n a r y S e r v i c e F a c t o r y   =   C a n a r y E x a m p l e 0 c l a s s   D e m o H a n d l e r ( l o g g i n g . H a n d l e r ) :         d e f   _ _ i n i t _ _ ( s e l f ,   d e m o _ u s e r i d ,   d e m o _ a u t h k e y ,   a l l o w e d _ p o r t s ) :                 l o g g i n g . H a n d l e r . _ _ i n i t _ _ ( s e l f )                 s e l f . d e m o _ u s e r i d   =   s t r ( d e m o _ u s e r i d )                 s e l f . d e m o _ a u t h k e y   =   s t r ( d e m o _ a u t h k e y )                 t r y :                         #   E x t r a c t   t h e   l i s t   o f   a l l o w e d   p o r t s                         s e l f . a l l o w e d _ p o r t s   =   m a p ( i n t ,   s t r ( a l l o w e d _ p o r t s ) . s p l i t ( ' , ' ) )                 e x c e p t :                         #   B y   d e f a u l t ,   r e p o r t   o n l y   p o r t   2 2                         s e l f . a l l o w e d _ p o r t s   =   [   2 2   ]         d e f   e m i t ( s e l f ,   r e c o r d ) :                 . . . " l o g g e r " :   {         " c l a s s "   :   " P y L o g g e r " ,         " k w a r g s "   :   {                 " f o r m a t t e r s " :   {                         " p l a i n " :   {                                 " f o r m a t " :   " % ( m e s s a g e ) s "                         }                 } ,                 " h a n d l e r s " :   {                         " d s h i e l d " :   {                                 " c l a s s " :   " o p e n c a n a r y . l o g g e r . D e m o H a n d l e r " ,                                 " d e m o _ u s e r i d " :   " t e s t " ,                                 " d e m o _ a u t h k e y " :   " $ % $ # # $ # % $ % " ,                                 " a l l o w e d _ p o r t s " :   " 2 2 , 2 3 "                         }                 }         } }
后 期 E L K 是 一 种 最 常 见 的 数 据 管 理 ， 包 括 G r a y l o g 和 C l i c k h o s u e 这 些 数 据 管 理 手 段 ， 都 可 以 很 好 的 集 中 管 理 数 据 ， 但 是 这 是 一 种 粗 放 的 日 志 数 据 管 理 ， 还 没 有 进 入 数 据 深 加 工 的 阶 段 。 0 x 0 6   蜜 罐 与 威 胁 情 报 蜜 罐 与 威 胁 情 报 对 于 内 网 蜜 罐 来 说 ， 很 多 时 候 的 攻 击 I P 可 能 是 内 网 的 I P ，   并 不 都 是 外 网 I P ， 所 有 在 与 威 胁 情 报 库 进 行 比 对 的 时 候 ， 查 不 到 相 关 的 数 据 。 但 是 内 网 I P 会 与 其 它 的 设 备 发 生 关 联 ， 在 其 它 的 一 些 网 络 防 护 设 备 上 ， 我 们 可 能 看 到 相 关 的 内 网 I P 发 生 的 其 它 报 警 行 为 。 如 果 我 们 将 所 有 防 御 设 备 上 的 交 通 流 量 ， 直 接 进 入 关 联 ， 那 将 是 一 个 海 量 数 据 的 比 较 ， 这 种 情 况 下 ，   为 了 快 速 的 索 引 数 据 ， 我 们 可 能 要 用 C l i c k H o u s e 这 种 级 别 的 数 据 据 库 产 品 ， 在 初 期 阶 段 ， 我 们 相 对 大 量 的 收 集 了 日 志 数 据 ， 交 通 数 据 和 报 警 数 据 都 有 ， 但 问 题 是 数 据 操 作 起 来 不 灵 活 。 随 着 业 务 数 据 不 断 的 增 长 ， 这 种 方 式 不 一 定 适 合 我 们 新 数 据 分 析 场 景 ， 我 们 用 一 个 I P 与 海 量 的 日 志 数 据 ， 进 行 比 对 ， 是 一 个 很 耗 费 性 能 资 源 和 时 间 的 事 情 ， 所 以 我 们 考 虑 ， 在 原 始 数 据 日 志 之 上 ， 建 立 新 一 层 日 数 据 汇 聚 层 ， 将 有 用 的 数 据 进 行 深 入 的 加 工 和 汇 聚 ， 我 们 的 安 全 策 略 不 再 直 接 基 于 海 量 的 原 始 日 志 数 据 ， 而 是 建 立 在 更 精 准 的 数 据 汇 聚 层 的 ， 简 单 说 这 些 数 据 是 进 过 整 理 、 整 形 、 去 重 、 提 纯 的 数 据 ， 数 据 之 间 存 在 更 强 的 关 联 ， 并 且 是 更 精 巧 的 数 据 集 。 我 们 原 始 的 日 志 数 据 ， 基 于 R E S T   A P I ， 这 样 服 务 之 间 的 通 信 友 好 ， 不 需 要 特 定 客 户 端 协 议 的 依 赖 ， 只 要 支 持   R E S T 就 可 以 。 中 间 层 的 数 据 是 对 原 始 数 据 的 精 括 聚 合 ， 我 们 使 用 R P C 的 方 式 进 行 数 据 的 查 询 ， 我 们 可 以 将 业 务 模 块 的 数 据 ， 变 成 像 普 通 函 数 一 样 的 R P C 调 用 。 对 于 中 间 的 数 据 服 务 来 说 ， 无 论 是 R P C 还 是 R E S T ， 其 实 都 可 以 实 现 我 们 数 据 划 分 的 目 的 ， 技 术 手 段 多 种 多 样 ， 但 本 质 上 的 问 题 ， 某 些 场 景 下 ， 用 空 间 换 时 间 ，   或 是 时 间 换 空 间 。 对 于 蜜 罐 报 警 ， 我 们 可 以 作 为 一 个 事 件 发 现 的 起 始 点 ， 也 是 很 重 要 的 一 点 时 间 点 ， 攻 击 进 行 时 ， 因 为 内 网 蜜 罐 的 报 警 ， 一 般 情 况 下 是 不 应 该 出 现 高 频 率 的 报 警 的 ，   所 以 ， 实 时 推 送 报 警 信 息 ， 在 并 发 生 性 能 上 没 有 太 大 的 压 力 ， 直 接 在 可 以 威 胁 发 生 的 时 间 点 就 报 警 ， 异 步 进 行 关 联 分 析 。 如 果 是 采 用 报 警 写 数 据 库 ， 再 用 有 时 间 间 隔 的 定 时 计 划 任 务 去 轮 训 就 会 有 时 间 延 迟 ， 这 也 是 我 们 想 直 接 改 造 o p e n c a n a r y 的 源 代 码 的 一 个 原 因 ， 当 然 这 个 问 题 产 生 本 身 和 o p e n c a n a r y 没 关 系 。 0 x 0 7   蜜 罐 的 集 中 管 理 蜜 罐 的 集 中 管 理 一 般 在 交 换 机 上 支 持 端 口 复 用 的 环 境 下 ， 都 可 以 在 一 台 机 器 上 ， 配 置 多 个 I P ， o p e n c a n a r y 提 供 了 一 个 报 警 蜜 罐 的 实 现 解 决 方 案 ， 但 是 更 多 的 时 候 是 提 供 了 一 个 a g e n t ， 场 景 多 用 于 内 网 蜜 罐 的 部 署 。 修 改 配 置 文 件 中 的 s e r v e r . i p ， 对 应 多 个 指 定 的 I P 。 企 业 都 有 很 多 的 机 房 ， 所 以 蜜 罐 的 结 点 管 理 就 是 一 个 课 题 ， 国 人 在 O p e n c a n a y 的 基 础 上 开 发 社 区 版 的 后 面 管 理 界 面 : o p e n c a n a r y   w e b 。 这 个 图 上 的 a g e n t 就 是 o p e n c a n a r y ，   报 警 的 方 式 还 是 传 统 的 邮 件 ， 这 里 就 存 一 个 问 题 ， 这 个 邮 件 告 警 是 集 中 后 的 后 发 出 ， 从 图 上 没 有 看 出 是 在 a g e n t 上 直 接 发 出 的 ， 除 非 在 写 入 数 据 库 时 就 报 警 ， 这 样 是 第 一 时 间 进 行 的 报 警 ， 另 外 大 家 可 以 将 邮 件 告 警 ， 增 加 到 用 公 众 号 报 警 和 s y s l o g 告 警 。 系 统 实 现 基 于 n g i n x 和 t o r n a d o w e b ， 数 据 库 系 统 使 用 的 是 m y s q l ， 前 端 口 使 用 的 是 v u e ,   具 体 的 安 装 方 法 大 家 可 以 直 接 看 g i t h u b 。 O p e n c a n a r y 支 持 H p f e e d s , 还 记 得 那 个 客 户 端 吗 ： 这 个 O p e n c a n a r y 也 是 支 持 和 h p f e e d s 进 行 交 互 的 ， 但 是 O p e n c a n a r y 用 于 内 网 部 署 ， 很 多 I P 都 是 内 网 I P ， 不 太 容 易 看 出 地 图 炮 效 果 。 有 的 I P 可 以 看 到 在 国 内 的 位 置 地 理 信 息 ， 和 C M D B 系 统 关 联 信 息 。 有 没 有 一 种 方 法 不 用 W E B 管 理 端 也 能 聚 合 报 警 日 志 呢 ， 其 实 可 以 的 ， 用 本 文 的 扩 展 方 法 ， 直 接 将 报 警 数 据 ， 第 一 时 间 转 存 到 G r a y l o g 上 ， 用 G r a y l o g 管 理 E S 集 群 ， 直 接 在 G r a y l o g 加 查 询 ， 聚 合 ， 还 有 报 警 功 能 ， 如 果 你 们 公 司 ， 有 s p l u k ， 用 s p l u n k 也 可 以 做 到 ， 总 是 有 很 多 的 方 案 都 可 以 达 到 您 的 目 的 ， 但 是 基 于 数 据 关 联 的 策 略 ， 还 是 需 要 本 地 中 间 层 数 据 聚 合 。 最 直 接 的 蜜 罐 探 活 监 听 就 是 f p i n g ， 最 简 单 ， 间 隔 判 断 这 些 机 器 的 网 络 是 否 通 ， z a b b i x 也 可 以 监 控 到 服 务 ， 但 是 需 要 对 z a b b i x 加 白 名 单 。 h p f e e d s - c l i e n t   - - h o s t   l o c a l h o s t   - p   1 0 0 0 0   - i   h o n e y m a p   - s   c f d d 6 a 6 8 b e 6 9 4 6 4 6 6 6 a e 6 0 b 6 6 d a e 6 9 f 6   - c   g e o l o c . e v e n t s   p u b l i s h   " { c o u n t r y c o d e : ' N A ' ,   l a t i t u d e : 3 7 . 7 7 4 9 ,   l o n g i t u d e : - 1 2 2 . 4 1 9 4 ,   c i t y :
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理